PCTF2025 Web 赛题实战解析：从整数溢出到 SSTI

We_will_rockyou

此题考察 Flask 应用中的 JWT 认证与密码哈希机制。下载源码后，我们发现几个关键配置点。

密钥随机化与覆盖

SECRET_KEY 每次重启都会随机生成，这意味着旧 Token 失效。但管理员密码的初始化逻辑存在隐患：虽然默认是随机 UUID，但程序会尝试从 /password 或 ./password.txt 读取内容并覆盖密码。

# 启动逻辑片段
admin_password = str(uuid.uuid4())
for path in ['/password', './password.txt']:
    try:
        if os.path.exists(path) and os.path.isfile(path):
            with open(path, 'rb') as f:
                raw = f.read()
                text = raw.decode('utf-8', errors='replace').strip()
                candidates = [line.strip() for line in text.splitlines() if line.strip()]
                if candidates:
                    import secrets
                    admin_password = secrets.choice(candidates)
                    break
    except: pass

这意味着如果能控制上述文件之一，就能预设管理员密码。结合题目提示 Try rockyou.txt!，我们可以推断需要爆破密码。

命令执行白名单绕过

后台提供了命令执行功能，但限制了 SAFE_COMMANDS 列表（如 ls, pwd）。然而，检查逻辑仅验证了命令的第一个单词，且使用了 shell=True。

SAFE_COMMANDS = ['ls', 'pwd', 'whoami', 'dir', 'more']
@app.route('/dashboard/run', methods=['POST'])
@login_required
def run_command(user_id, username):
    cmd = request.form.get('command', '').strip()
    # 风险点：只判断第一个单词
    if not cmd or cmd.split()[0] not in SAFE_COMMANDS:
        return render_template(..., error_msg="Error: Command not allowed...")
    try:
        result = subprocess.run(cmd, shell=True, capture_output=True, text=True, timeout=5)
        output = result.stdout + result.stderr
        return render_template(..., output=output, command=cmd)
    except Exception as e:
        return render_template(..., error_msg=f"Error: {str(e)}")

输入 ls ; cat /etc/passwd 时，白名单检查通过，但 Shell 会执行后续命令。配合 JWT 伪造或密码爆破登录后，即可获取系统权限。

barbie

这是一个简单的命令执行挑战。登录后直接执行 ls / 即可看到目录结构。

过滤规则较宽松，WAF 效果有限，重点在于信息收集后的密码爆破与命令执行组合。

Jwt_password_manager

本题核心在于 JWT 密钥泄露导致的身份伪造。源码中硬编码了 SECRET_KEY。

app.config['SECRET_KEY'] = '0f3cbb44-f199-4d34-ade9-1545c0972648'

此外，程序启动时会读取服务器本地的 flag.txt，并将其作为一条密码存入 admin 账号的密码本中。

# 模拟 CTF 环境
for path in ['/flag', './flag.txt']:
    try:
        if os.path.exists(path) and os.path.isfile(path):
            with open(path, 'rb') as f:
                raw = f.read()
                content = raw.decode('utf-8', errors='replace').strip()
                add_password_item('admin', website='seeded-flag', password=content)
                break
    except: pass

解题步骤如下：

1. 注册一个普通账号，获取合法 Token。
2. 使用 jwt.io 解密 Token，将 payload 中的 username 修改为 admin。
3. 使用泄露的 SECRET_KEY 重新签名。
4. 替换 Cookie 中的 Token，访问 Dashboard 即可查看存储的 Flag。

伪造后的 Admin Token 示例： eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpZCI6ImIzMGEwYzNhLTI5Y2YtNGQ0ZS04ZDJiLTcxZGIxOWJlYjc2MiIsInVzZXJuYW1lIjoiYWRtaW4ifQ.PMpPt65DM7rU-z3gljV1f8z5h_DIXSmoDQnMu2vKgQo

保存密码后即可获取 Flag。

ez_upload

文件上传接口看似限制了扩展名和黑名单关键词，但后端使用了 render_template_string 渲染用户上传的文件内容。

@app.route('/file')
def view_file():
    file_path = request.args.get('file', '')
    # ... 黑名单检查 ...
    try:
        with open(file_path, 'r', encoding='utf-8') as f:
            file_content = f.read()
        # 高危：直接将文件内容传入模板引擎
        return render_template_string(template, file_path=file_path, file_content=file_content)
    except Exception as e:
        # ... 错误处理 ...

即使无法直接上传 .php 或 .py 文件，我们可以上传包含 SSTI Payload 的文本文件（如 {{ 7*7 }}），并通过 /file?file=templates/index.html 等方式触发渲染。更进一步的思路是利用路径遍历或模板覆盖，在 index.html 中植入恶意模板代码，实现任意代码执行。

成功读取敏感文件内容。

Do_you_know_session?

最后这道题考察 Flask Session 的构造。搜索框中存在 SSTI 漏洞，可以通过 context= 参数测试。

虽然 WAF 拦截了大部分 Payload，但通过调试可以看到 config 对象，其中包含了 SECRET_KEY。

Secret Key: 1919810#mistyovo@foxdog@lzz0403#114514

有了密钥，结合 Flask Session Cookie Manager 工具，即可伪造包含管理员权限的 Session Cookie。

最终通过读取 environ 变量获取 Flag。

总结

本次系列赛题集中展示了 Web 安全中的经典场景。无论是逻辑层面的全角绕过、数值溢出，还是框架层面的 JWT 伪造、SSTI 注入，都提醒我们在开发过程中需严格校验输入、避免硬编码密钥，并对模板渲染保持警惕。